Un cierto grado limitado de autenticación mutua ocurre inherentemente como parte del proceso de autenticación Kerberos entre el cliente y el servicio de la aplicación. Un servicio no debería poder descifrar el ticket de servicio a menos que tenga la clave asociada con el principal de Kerberos que se supone que es. Si no puede descifrar el ticket de servicio, no debería tener acceso a la información sobre el principal del usuario que necesita para autenticar correctamente y crear una sesión para ese usuario.
Ahora, me imagino que un host malicioso que puede suplantar un servicio legítimo podría pretender que pudo descifrar el ticket de servicio y crear una sesión genérica para cualquier usuario que lo contacte. En algunos casos, como acceder a un sitio web interno en el que todos los empleados tienen permisos, puede que no sea obvio para el usuario que no están autenticados en el contexto adecuado. En otros casos, como el acceso a un recurso compartido de archivos personales, debería ser rápidamente obvio que el servicio no tiene los datos que el usuario esperaba y son falsos.
El proceso de autenticación mutua de Kerberos demuestra al cliente que está hablando con el principio de servicio adecuado, en lugar de suponer si se estableció una sesión que es con un servicio válido.
La razón por la que la autenticación mutua no está activada de manera predeterminada probablemente se deba a la dificultad de que un atacante engañe a un cliente para que piense que un servicio malintencionado es un servicio válido (por ejemplo, a través de la falsificación de DNS), y luego se beneficia de él. este engaño Además, es un pequeño beneficio de rendimiento eliminar el paso de autenticación mutua del proceso de autenticación.